Methodik

Diese Seite zeigt, wie jedes Werkzeug zu seinem Ergebnis kommt: welche Regel, aus welchem Artikel. Die Werkzeuge sind voneinander getrennt; es gibt keinen gemeinsamen Score.

Nach welchen Grundsätzen rechnen die Werkzeuge?

• Quelle ist der veröffentlichte Rechtstext. Jede Regel nennt Artikel und Absatz – und, wo einschlägig, Anhang oder Erwägungsgrund.
• Deterministisch: dieselben Eingaben, dasselbe Ergebnis. Kein Sprachmodell und keine statistische Schätzung entscheidet.
• Das stärkste Ergebnis gilt, alle Gründe bleiben sichtbar. Treffen mehrere Regeln zu, zeigt das Werkzeug das weitreichendste Ergebnis und jede beitragende Regel mit Fundstelle.
• Vorprüfung. Die Ergebnisse ersetzen weder Rechtsberatung noch die Entscheidung der zuständigen Behörde. Mehr unter Grenzen & Haftung.

Woher kommt ein NIS2-Ergebnis?

Rechtsgrundlage ist die Richtlinie (EU) 2022/2555. Maßgeblich sind vor allem:

• der Anwendungsbereich Art. 2 NIS2
• wesentliche und wichtige Einrichtungen Art. 3 NIS2
• die Sektoren Anhang I und II NIS2
• die Unternehmensgröße Empfehlung 2003/361/EG

Eingaben

• Tätigkeit in der Union, Sektor (Anhang I oder II), Beschäftigte, Jahresumsatz, Bilanzsumme.
• Größenunabhängige Auslöser, etwa: qualifizierter Vertrauensdiensteanbieter, TLD-Registry, DNS-Diensteanbieter, öffentliche elektronische Kommunikationsnetze, Einrichtung nach der CER-Richtlinie, zentrale oder regionale öffentliche Verwaltung, alleiniger Anbieter, erhebliche Auswirkungen, Systemrisiko, nationale Bedeutung.
• Ausschlüsse und Ausnahmen, etwa: nationale Sicherheit, Verteidigung, Strafverfolgung, Justiz, Parlamente, Zentralbanken, sektorspezifische Rechtsakte (lex specialis wie DORA), Vertrauensdienste in geschlossenen Systemen, Post, Nuklearwertschöpfungskette.
• Mitgliedstaatliche Wahlrechte, soweit die nationale Umsetzung sie ausübt – etwa lokale Verwaltung, Bildungs- und Forschungseinrichtungen, Fortgeltung für frühere Betreiber wesentlicher Dienste.

Bewertung

1. Das Werkzeug bestimmt die Größenklasse: Beschäftigte und Umsatz oder Bilanzsumme Empfehlung 2003/361/EG.
2. Sektor und Größe ergeben das Basisergebnis: Anhang I und groß → wesentlich; Anhang I und mittel → wichtig; Anhang II und mindestens mittel → wichtig.
3. Größenunabhängige Auslöser heben das Ergebnis an Art. 3 Abs. 1 Buchst. b–f NIS2.
4. Danach gelten Ausschlüsse und Ausnahmen Art. 2 Abs. 7–11 NIS2 und sektorspezifische Rechtsakte Art. 4 NIS2 als Vorrangregeln.
5. Das Ergebnis nennt: Einstufung, Größenklasse, die geordnete Begründung mit Artikeln, mitgliedstaatsabhängige Punkte und die Version des Regelwerks – auf Wunsch als PDF-Vermerk, der beim Klick erzeugt und nicht gespeichert wird. Meldepflicht-Prüfung und Lieferanten-Triage liefern ebenso einen PDF-Vermerk.

Nicht angewendet wird die Sonderregel für Unternehmen mit mindestens 25 % öffentlicher Beteiligung Empfehlung 2003/361/EG Art. 3 Abs. 4. Verbundene Unternehmen zählen voll, Partnerunternehmen anteilig Empfehlung 2003/361/EG Art. 6: Sie geben sie in der Betroffenheitsprüfung einzeln an, das Werkzeug rechnet sie zusammen. Konzernstrukturen ermittelt das Werkzeug nicht selbst.

Woher kommt ein CRA-Ergebnis?

Das CRA-Werkzeug prüft die Betroffenheit, stuft ein Produkt ein und entwirft die Konformitätserklärung. Rechtsgrundlage ist die Verordnung (EU) 2024/2847:

• Anwendungsbereich, Ausschlüsse und Begriffe Art. 2, 3 CRA
• Pflichten der Wirtschaftsakteure Art. 13, 19, 20, 22, 24 CRA
• Meldepflichten Art. 14 CRA
• Konformitätsbewertung Art. 7–8, 32 CRA
• Übergang und Geltung Art. 69, 71 CRA
• grundlegende Anforderungen, wichtige und kritische Produkte, EU-Konformitätserklärung, technische Dokumentation Anhang I, III/IV, V, VII CRA

Betroffenheitsprüfung

1. Anwendungsbereich Art. 2 Abs. 1 Art. 3: Produkt mit digitalen Elementen, Datenverbindung, Bereitstellung im Rahmen einer Geschäftstätigkeit. Für Open-Source-Software-Verwalter gelten die besonderen Pflichten nach Art. 24 auch ohne eigene kommerzielle Bereitstellung.
2. Ausschlüsse Art. 2 Abs. 2–7: Medizinprodukte, Fahrzeuge, Luftfahrt, Schiffsausrüstung, Ersatzteile, nationale Sicherheit – jeder Ausschluss ist entscheidend.
3. Rolle Art. 3, 13, 19, 20, 24: Hersteller, Einführer, Händler oder Open-Source-Verwalter. Wer ein Produkt wesentlich verändert oder unter eigener Marke vertreibt, wird zum Hersteller Art. 22.
4. Zeitpunkt Art. 69, 71: Hersteller-Meldepflichten ab 11. September 2026; volle Anwendung und Pflichten der Open-Source-Verwalter nach Art. 24 ab 11. Dezember 2027. Für früher in Verkehr gebrachte, unveränderte Produkte gelten nur die Meldepflichten.
5. Ausgabe: Ergebnis, Rolle, Pflichtenliste mit Fundstelle und Geltungsdatum, Zeitplan, nächste Schritte – als PDF-Vermerk. Das Werkzeug speichert nichts.
6. Das Beispiel auf der Einstiegsseite ist ein echter Lauf der Regeln mit gekennzeichneten Beispieldaten, keine gestaltete Vorlage; ein Test hält es mit dem Regelwerk gleich.

Eingaben der Einstufung

• Deklarierte Kernfunktion des Gesamtprodukts, mit Produktlisten nach Anhang III/IV und Abgleichhinweis zu den technischen Beschreibungen der DVO (EU) 2025/2392. Nebenfunktionen und integrierte Komponenten legen die Kategorie nicht allein fest.
• Für die Konformitätserklärung: Hersteller, Produkt, unterzeichnende Person, angewendete harmonisierte Normen, ggf. notifizierte Stelle.

Bewertung

1. Jede gewählte Funktion trägt die Kategorie ihrer Fundstelle: Standard, wichtig Klasse I, wichtig Klasse II oder kritisch.
2. Bei mehreren Kandidaten zeigt das Werkzeug die höchste Kategorie als vorsorgliche Arbeitshypothese. Fehlende oder unbekannte Kennungen bleiben ausdrücklich klärungsbedürftig. Das Ergebnis nennt die auslösende Funktion und ihre Fundstelle.
3. Aus der Kategorie folgt der Bewertungsweg Art. 32 CRA: Eigenbewertung (Modul A), bedingt zulässige Eigenbewertung bei vollständiger Anwendung harmonisierter Normen, oder verpflichtende Drittbewertung (Modul B+C oder H) bzw. Zertifizierung.
4. Die Konformitätserklärung bleibt immer ein Entwurf zur fachlichen Prüfung. Das Werkzeug verifiziert weder die Erfüllung von Anhang I noch technische Dokumentation, Bescheinigungen oder das abgeschlossene Bewertungsverfahren. Eine Normangabe, ein Stellenname oder ein unauffälliger Komponenten-Scan belegt keine Konformität Art. 13 Abs. 12, Art. 28, 32 und Anhang V CRA.

Die Einstufung ist eine indikative Zuordnung des veröffentlichten Anhangs-Texts. Ob ein konkretes Produkt unter eine Produktkategorie fällt, ist eine Auslegungsfrage. Das Werkzeug entscheidet sie nicht.

Was ist ein belastbarer Nachweis?

In Prüfungen scheitern Maßnahmen selten am Tun, sondern am fehlenden Beleg. Die Werkzeuge halten deshalb vier Stufen auseinander:

Die Stufen 1 bis 3 lassen sich strukturiert abfragen. Stufe 4 verlangt eine fachliche Beurteilung des Inhalts; sie bleibt Menschen vorbehalten.

Wie verweisen die Werkzeuge auf Normen?

Normen wie ISO/IEC 27001 nennen wir über die Nummer des Elements und eine eigene Beschreibung – den urheberrechtlich geschützten Normtext geben wir nicht wieder. Eine Zuordnungstabelle ist eine Argumentationshilfe, kein Konformitätsnachweis.

Wer verantwortet die Methodik?

Alle Prüfungen ansehen

Stand: 07.10.2026